美國衛生部門公布個人健康資訊外洩責任實施綱領
美國健康與人類服務部（Secretary of Health and Human Services；以下簡稱HHS），於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」（Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information；以下簡稱本綱領）。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則，並可望對美國迄今四十餘州之個資外洩通知責任法制，產生重大影響。
本綱領之訂定法源，係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法（Health Information Technology for Economic and Clinical Health Act；以下簡稱HITECH），HITECH並屬於2009年「美國經濟復甦暨再投資法」（America Recovery and Reinvestment Act；簡稱ARRA）之部分內容。
HITECH將個人健康資訊外洩通知責任的適用主體，從「擁有」健康資訊之機構或組織，進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除，或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外，HITECH並規定具體之資料外洩通知方法，即必需向當事人（資訊主體）以「即時」（獲知外洩事件後60天內）、「適當」（書面、或輔以電話、網站公告形式）之方式通知。不過，由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩，故對於「安全性不足」之定義，HITECH即交由HHS制定相關施行細則規範。
HHS本次通過之實施辦法，將「安全」之資料定義「無法為第三人使用或辨識」，至於何謂無法使用或辨識，本綱領明定有兩種情形，一是資料透過適當之加密，使其即使外洩亦無法為他人辨識，另一則是該外洩資訊之儲存媒介（書面或電子形式）已被收回銷毀，故他人無法再辨識內容。
值得注意的是，有異於美國各州法對於加密標準之不明確態度，本綱領已指明特定之技術標準，方為其認可之「經適當加密」，其認可清單包含國家標準與技術研究院（National Institute of Standards and Technology）公布之Special Publication 800-111，與聯邦資訊處理標準140-2。換言之，此次加密標準之公布，已為相關業者提供一可能之「安全港」保護，使業者倘不幸遭遇資料外洩事件，得主張資料已施行適當之加密保護，即無需承擔龐大外洩通知成本之衡平規定。
本文為「經濟部產業技術司科技專案成果」
新加坡智財融資計畫介紹 科技法律研究所 法律研究員 羅育如 2014年12月23日 壹、前言 新加坡政府於2013年3月份提出IP (Intellectual Property) Hub Master Plan 10年期計畫[1]，目標是成為亞洲智慧產權匯流中心。本文針對其中的智財融資計畫(IP Financing Scheme；IPFS)進行觀察，目的在於了解新加坡政府如何運用政府資源，協助建構智財交易市場。 貳、重點說明 新加坡政府2014年4月18日公布總值為1億新元(約24億新台幣)的智財權融資計畫，以協助新加坡本地的企業通過所持有的智財權獲得銀行的融資。 根據這項計畫，新加坡智財局將委託新加坡三家智財鑑價機構，為那些擁有智財權的企業進行鑑價，而相關企業則可以智財權為抵押，向參與本計畫的三家當地銀行—星展銀行(DBS Bank Ltd)、華僑銀行(Oversea-Chinese Banking Corporation (OCBC) Ltd)和大華銀行(United Overseas Bank (UOB) Ltd)申請企業貸款，用以擴展企業業務。 而新加坡智財局將依據不同企業貸款的申請情況，以計畫經費承擔部分違約風險，對於企業的智財資產融資負擔連帶責任(the Government partially underwrites the value of IP used as collateral)。須強調的是，該項計畫的申請資格需符合兩個標準：1.必須是新加坡企業；2.擔保品必須包含已獲證的專利。其餘具體推動作法，介紹如下： 一、申請流程 智財權融資計畫的申請流程分為三個步驟[2]，首先必須向任選三家融資銀行的其中一家提出初步評估申請。接著則從三家合格之專門鑑價服務公司中，挑選適合的IP鑑價師，針對要作為擔保品的已獲證專利，進行價值評估。最後，該申請企業再將專業鑑價報告以及融資申請書，提交給融資銀行作審查。 二、合格之專業鑑價機構 如欲成為融資銀行可接受之合格智財權鑑價服務公司，必須通過新加坡智財局的評選機制，參加評選的公司必須符合以下四個條件： 1.在專利鑑價領域至少五年經驗。 2.過去曾替營業額500萬新元(約一億兩千萬台幣)的企業進行過智財鑑價。 3.曾經評鑑過至少100萬新元(約2400萬台幣)智財價值的案件。 4.每年的營業額最少為100萬新元(約2400萬台幣)。 目前通過評選之合格鑑價服務公司包括American Appraisal Singapore Pte Ltd(地點在新加坡)、Consor Intellectual Asset Management(地點在美國)以及Deloitte & Touche Financial Advisory Services Pte Ltd(地點在新加坡)。換言之，除上述三家公司外，融資銀行將不接受其他公司提供之智財權鑑價報告。 三、智財鑑價費用補助 新加坡智財局會補助欲申請智財權融資計畫之企業智財鑑價費用，但前提條件是，申請企業必須獲得通過融資審查，並提取100%獲准貸款之後，政府才會補助智財鑑價費用，而補助費用計算方式有三種選擇，政府從中選擇較低金額作為補助費用，包括： 1.50%智財鑑價費用。 2.該項智財價值2%。 3.新幣2.5萬(約60萬台幣)。 參、事件評析 一般而言，銀行不接受智財資產作為企業融資的擔保品，因為智財資產無明確的交易以及流通市場，當企業無法依約償還貸款時，銀行無法買賣智財擔保品，取回資金。 為了解決這個根本性的問題，新加坡政府透過智財融資計畫，直接提供資金挹注，協助銀行承擔智財融資風險，使企業可透過智財資產實質的取得資金，一方面讓企業更加願意投注智財相關費用，因為智財產出除了可用於內部製造與創新之外，還可以成為融資擔保品，協助企業取得資金。另一方面則可活絡智財交易市場，因為雖然政府承擔部份銀行風險，但智財交易市場還是會因為有需求而慢慢浮現。 [1] IP STEERING COMMITTEE, Intellectual Property (IP) Hub Master Plan─Developing Singapore as a Global IP Hub in Asia (2013) http://www.ipos.gov.sg/Portals/0/Press%20Release/IP%20HUB%20MASTER%20PLAN%20REPORT%202%20APR%202013.pdf(最後瀏覽日2014/10/15) [2] Intellectual Property Financing Scheme, ipos.gov, http://www.ipos.gov.sg/IPforYou/IPforBusinesses/IPFinancingScheme.aspx(last visited Oct. 15, 2014).
Common sense並非 Obviousness的代名詞美國聯邦第二上訴巡迴法院於去年12月9日做出判決，維持先前佛羅里達州南區地方法院對於 Perfect Web Tech. 公司之專利第6,631,400號(以下簡稱專利400號)做出該專利無效之簡易裁決。第二上訴巡迴法院在 Perfect Web Technologies Inc. v. InfoUSA Inc. 一案中對於判斷一項專利的顯而易見性 (obviousness) 上，“常識”(common sense)所代表的意義做出解釋。 此案最初係由 Perfect Web Tech 控訴InfoUSA 侵害其所持專利400號，該專利為 “一種管理大批 (bulk) 電子郵件傳送到各不同鎖定目標的方法”。專利400號包含了4道程序，第一至第三道程序包含將大批的電子郵件寄送到一鎖定目標對象的群組，並計算當中寄送成功的數量。第四道程序則為重覆程序一至三，直到寄送成功的數量超過原設定的最低成功數量。對此InfoUSA向法院提出裁定專利400號無效的簡易裁決，而地方法院以 “程序一至三為先前技術 (prior art)，程序四則僅為合乎邏輯的常識做法”而准予該請求並裁定專利400號無效。 第二上訴巡迴法院維持原判的理由在於專利400號不符合於KSR案中關於 “顯而易見性”的判斷原則。訴訟雙方皆同意程序一至三為先前技術，而法院認為程序四是 “常識”下的產物， “是一般人都顯然會去嘗試的結果”。Linn 法官更進一步指出像這樣的案子根本不需要專家證詞，只需用一般人的常識判斷即可。但是判決中亦同時聲明，若要援用 “常識”來判斷一項專利的顯而易見性，地院或專利審查官必須要能將判斷的依據解釋清楚以受公評。此判決結果意味著如果係爭的專利技術較為複雜，被告將必須要依賴有利的專家證詞以成功證實爭論的要點僅止於常識運用且具有顯而易見性。
從美國聯邦最高法院判決探討實用物品設計之著作權保護原則從美國聯邦最高法院判決探討實用物品設計之著作權保護原則 資訊工業策進會科技法律研究所 法律研究員 龔芳儀 107年8月25日 壹、事件摘要 運動服飾設計製造與銷售公司Varsity Brands, Inc.（後稱Varsity公司）擁有兩百餘件美國平面美術著作，而另一家運動服飾銷售公司Star Athletica, LLC（後稱Star公司）所販售之產品包含啦啦隊用品及啦啦隊服等。 Varsity公司於2014年向美國田納西州西區聯邦地區法院對Star公司提起著作權、商標權等侵權訴訟，本文將針對著作權爭議進行討論，Varsity公司控告Star公司於2010年的產品型錄與網站中所展示的啦啦隊服相似於其五件已註冊為美國著作之啦啦隊服設計，請參見圖一。 資料來源：JD Supra, LLC彙整 圖一 Varsity公司指出Star公司之啦啦隊服相似於Varsity公司已註冊為美國著作之啦啦隊服設計[1] Varsity公司所擁有之五件平面美術著作[2]，如圖二所示，其中兩件（Design 299A與Design 299B）為啦啦隊服照片，另三件（Design 074、Design 078與Design 0815）為啦啦隊服之設計圖稿。被告Star公司認為Varsity公司之設計圖稿明顯是以啦啦隊服之輪廓進行設計，且當隊服缺乏設計時便成為空白之布料而失去啦啦隊服之功能，因此該些設計具有功能性，進而不符合美國著作權法第1302條第4項所指「設計之呈現僅為功能實現（dictated solely by a utilitarian function of the article that embodies it）」而不受保護之設計項目，即設計在作品上之呈現方式，僅展現功能性質，也就是說啦啦隊服上的圖樣設計為凸顯啦啦隊服功能，該些圖樣具功能性而不受著作權所保護。而Varsity公司主張設計師構思設計時並未被要求須考量啦啦隊服之功能、或實際製造之可行性，因此該設計不涉及功能性，而可受美國著作權法所保護。 資料來源：美國田納西州西區聯邦地區法院判決 圖二 Varsity公司之五件美國平面美術著作 美國田納西州西區聯邦地區法院法官[3]認為Varsity公司啦啦隊服可承受劇烈動作、吸汗等功能係屬於實用物品、且其顏色與設計在概念上無法從所依附的啦啦隊服分離，而認定該設計不被著作權法所保護，即Varsity公司所擁有之著作權無效，並在簡易法庭中認同Star公司之見解：啦啦隊員因穿著隊服而產生啦啦隊效果，使觀察者看到穿著啦啦隊服者而知道其為啦啦隊員，若少了啦啦隊服上的設計則失去啦啦隊意象，認為該啦啦隊服具備功能性而無法受著作權所保護，故Star公司無從侵害Varsity公司之五件平面美術著作。 本案經Varsity公司上訴，聯邦第六巡迴上訴法院於2015年推翻了一審法院判決[4]，認為Varsity公司啦啦隊服上之設計為圖形設計[5]且可被分離、獨立於啦啦隊服，即圖形設計與啦啦隊服可各別存在，使該些設計可被著作權法所保護。 一、Varsity公司具有有效之著作權（ownership of a valid copyright） Varsity公司分別於2005年至2008年間於美國著作權局(Copyright Office)完成前述五件平面美術著作註冊，得以推定Varsity公司擁有原創著作。 二、Star公司所抄襲之元素為著作保護標的 針對證明Star公司是否抄襲，Varsity公司須考量Star公司在創作時是否以其著作當作創作模型之事實問題（a factual matter）、進而判斷受Star公司所抄襲之元素是否為著作保護標地之法律問題（a legal matter）。 上訴法院針對法律問題進行討論，列有分離性判斷原則之五個提問，並針對Varsity公司設計之分離性進行分析，如表一所示。 表一 以上訴法院分離性判斷原則比對Varsity公司之設計 上訴法院分離性判斷原則 比對Varsity公司之設計 （1）該設計是否屬「圖畫、圖形及雕塑著作」? Varsity公司之設計已取得平面美術著作註冊，係屬「圖畫、圖形及雕塑著作」 （2）若是，該設計是否為實用物品之設計? Varsity公司之設計係為啦啦隊服之設計，而該啦啦隊服為本質上具有實用性功能之物品，而非僅描繪（portray）該物品之外觀或傳達訊息（information） （3）實用物品之實用面為何? 啦啦隊服本質上之實用性功能為「覆蓋身體（cover the body）」即吸濕氣並承受運動員劇烈之動作 （4）一般設計觀察者是否能從實用物品之實用面辨識出圖畫、圖形及雕塑之設計特徵? 觀察者能辨識Varsity公司設計之圖形特徵，Varsity公司之客戶能從型錄中辨識不同圖形特徵之設計，即可從中挑選客製圖形設計 （5）實用物品之圖畫、圖形及雕塑設計特徵是否能獨立存在於實用物品之實用面? Varsity公司之設計師進行設計圖形特徵時，並未被要求考量啦啦隊服生產過程且該些設計具可換性（interchangeability），推斷圖形設計與啦啦隊服係可分離，可附於其他類型之服飾上，因此圖形特徵能獨立存在於啦啦隊服 資料來源：本研究彙整 另一方面，啦啦隊服之表面圖形設計是為織品設計（fabric design），如符合該分離性判斷標準則屬著作權法保護之範疇；相對地，隊服輪廓剪裁則具有遮蔽、包覆人體等功能係屬於服裝設計（dress design），該功能性則不受著作權保護。 Star公司不服上訴法院判決，本案於2016年進入美國聯邦最高法院[6]，法官於2017年3月認同聯邦第六巡迴上訴法院見解，認為Varsity公司啦啦隊服之圖形設計與啦啦隊服可分離，並提出實用物品之設計在符合以下兩構件之分離性判斷原則，即為著作權所保護之標的範圍：（1）當設計特徵可被視成為平面或立體著作並且能與實用物品分離（can be perceived as a two- or three-dimensional work of art separate from the useful article）；以及（2）若該設計特徵符合圖畫、圖形及雕塑著作（pictorial, graphic, and sculptural works, ”PGS works”），可被設想為可分離於實用物品，不管是獨立存在、或者依附於其他媒體上（either on its own or fixed in some other tangible medium of expression），即為著作權所保護之標的。 如表二，根據上述條件與Varsity公司之設計進行比對。Varsity公司啦啦隊服上之線條、圖紋、色塊等圖形設計係屬圖形著作，且該些圖形設計可從啦啦隊服分離，而可依附在其他媒體上、或獨立存在，因此該圖形設計為著作權法所保護之標的，Star公司確實侵害Varsity公司之五件平面美術著作。 表二 以聯邦最高法院分離性判斷原則比對Varsity公司之設計聯邦最高法院分離性判斷原則 聯邦最高法院分離性判斷原則 比對Varsity公司之設計 （1）當設計特徵可被視成為平面或立體著作並且能與實用物品分離。 Varsity公司啦啦隊服上之線條、圖紋、色塊等圖形設計係屬圖畫、圖形及雕塑著作中之圖形著作。 （2）若該設計特徵符合圖畫、圖形及雕塑著作（PGS works），可被設想為可分離於實用物品，不管是獨立存在、或者依附於其他媒體上，即為著作權所保護之標的。 該些圖形設計可從啦啦隊服分離，而可依附在其他媒體上、或獨立存在，如裝飾其他形式之服裝、或裱掛於牆上之圖形藝術，因此該圖形設計為著作權法所保護之標的。 資料來源：本研究彙整 貳、重點說明─實用物品設計是否為著作權標的，應分析與實用物品分離後之圖形設計而非物品本身 美國著作權法並未將屬實用物品之工業設計產品之設計納為保護標的，但工業設計不全是具功能之設計，當工業設計產品之設計附有藝術元素時，該保護界線便難以劃分。 對此，美國著作權法第101條[7]（17 U.S.C.§101）提供實用物品之設計有限的著作權保護：當實用物品之設計具備圖畫、圖形及雕塑之藝術特徵（”pictorial, graphic, and sculptural features” of the “design of a useful article”），且該些特徵可被分離、或獨立存在於該物品之實用面（that can be identified separately from, and are capable of existing independently of, the utilitarian aspects of the article），應認為係屬圖畫、圖形或雕塑著作，該特徵便可受著作權法所保護。 進一步分析美國著作權法[8]所定義之實用物品（useful article）係指本質上具備固有的實用功能、並非僅是勾勒物品之外觀或資訊傳達（having an intrinsic utilitarian function that is not merely to portray the appearance of the article or to convey information）。 因此，判斷附於實用物品之藝術特徵是否適用著作權法，應就當實用物品除去藝術特徵後，該藝術特徵是否為著作權法所保護之標的。至於除去藝術特徵之實用物品則維持相似之實用性（remain similarly useful）即可，而非觀察當實用物品除去藝術特徵時是否喪失與原本相同之實用性（equally useful）[9]，換言之，有無藝術特徵對實用物品的影響相對次要。 就本案而言，聯邦最高法院判斷啦啦隊服之圖形設計是否受著作權法所保護，並非針對當Varsity公司啦啦隊服移除圖形設計後，而使隊服不具備或削弱了啦啦隊意像而喪失與原本相同之實用性，就此認定該些設計具功能性、而不被著作權法所保護。據此，應將附有設計之Varsity公司啦啦隊服與未有裝飾設計之素白啦啦隊服兩者進行比較，兩啦啦隊服具有相似之實用功能，而針對該些啦啦隊服之設計係屬可分離於啦啦隊服之圖形著作，因此符合著作權法之保護標的。同時，聯邦最高法院根據上訴法院的觀點，敘明前述之判斷並不含括該啦啦隊服之剪裁及規格尺寸，其實質上係為功能設計，即非著作權法所保護之範圍。 參、事件評析 一直以來，實用物品之設計是否具可分離性而受著作權法所保護，美國法院未有一個共通的判決原則因此存在著不確定性，而本案釐清了判斷方法，並提供實用物品之設計是否為著作權法所保護之判斷原則。 如同過去法院或學者對於著作權標的所判斷關鍵，本判決仍著重於可分離性（separability），即設計是否能從實用物品分離，並且該設計可獨立存在或依附在其他物品上。而本判斷原則強調應針對分離後之設計而非物品進行討論，對應到本案即應討論啦啦隊服之設計而非啦啦隊服，即從啦啦隊服分離後之啦啦隊服設計係為圖形著作，屬著作權法之保護標的。 如此，除了讓既有的時尚產業對於服裝設計、布料裝飾等是否受著作權法保護有了較為明確的判斷方法，進而影響了工藝品、文創作品、甚至是逐漸大眾化之3D列印製品[10]等同時具備藝術設計與功能性之物品，其藝術設計特徵是否屬著作權法所保護之標的之辨別。 美國著作權保護標的之圖畫、圖形及雕塑著作，對應於台灣著作權法第5條第4項美術著作（含圖畫與雕塑）與第6項圖形著作，然而台灣著作權法對於實用物品等判斷似未見相關規範，對此美國聯邦最高法院對實用物品設計之可分離性所提出之判斷原則可作為參考。 此外，建議相關企業組織未來若在美國經營服飾、工藝品等銷售，透過美國著作權登記以取得該國著作權法第410條第(c)項[11]所規定享有著作權「初步證據-推定為著作權人」（prima facie）在訴訟上的實益，以及第412條[12]、第504條[13]與第505條[14]所規定之法定損害賠償及律師費用，以強化設計保護及爭訟過程中之主張。 針對服飾上之設計，除了透過著作權保護該些設計之概念表達外，亦可藉由設計專利保護具有設計之服飾，即保護物品之全部或部分之形狀、花紋、色彩或其結合，透過視覺訴求之創作。著作權保護不具功能性之創作表達，而設計專利則針對實體物之外觀設計進行保護；因此當設計本身擁有不具功能性的創作表達、且物品設計外觀符合產業上利用性、新穎性及創作性等設計專利要件，即可同時獲有專利法與著作權法之保護。 當該設計已具有識別性則可透過商標權保護，即藉由圖形、記號、顏色等設計組合產生足以使相關消費者認識其為表彰商品或服務之標識，當然會需要投入相對之行銷資源將該圖形、記號或顏色組合之設計讓大眾知悉且區別商品或服務來源。將設計透過商標保護之另一優點在於，該設計如果具有識別性，便不像設計專利一樣限於依附於特定物品如服飾上，還可將該設計申請註冊商標，指定使用於其他產品甚至服務類別上，更加發揮設計擴大應用。 企業組織可針對所產製之設計，規劃不同階段之智財保護策略，當創作完成時即享有著作權，建議可進行註冊登記將有助訴訟之舉證；當著作物為機械產製，且該些設計符合設計專利之要件時，可同時獲有專利法與著作權法之保護；最後，當行銷資源投入，使該設計逐漸具有識別性，進而可藉由商標註冊完善設計的各面向之智慧財產保護。 [1] JD Supra, LLC, Chevrons, Stripes, Cheerleaders, and Copyright: The Supreme Court Hears Oral Argument in Star Athletica v. Varsity Brands (2016), https://www.jdsupra.com/legalnews/chevrons-stripes-cheerleaders-and-94125/ (last visited Aug 26, 2018). [2] Varsity Brands, Inc. v. Star Athletica, L.L.C., No. 2:10-cv-02508, 2014 WL 819422, at *4 (W.D. Tenn. Mar. 1, 2014). [3] Varsity Brands, Inc. v. Star Athletica, L.L.C., No. 2:10-cv-02508, 2014 WL 819422, at *15 (W.D. Tenn. Mar. 1, 2014). [4] Varsity Brands, Inc. v. Star Athletica, LLC, 799 F.3d 468, 30 (6th Cir. 2015). [5] 17 U.S.C. § 102(a)(5) (2012). [6] Star Athletica, LLC v. Varsity Brands, Inc., 580 U.S. __, 17 (2017). [7] 17 U.S.C. § 101 (2012). [8] 17 U.S.C. § 101 (2012). [9] Star Athletica, LLC v. Varsity Brands, Inc., 580 U.S. at 13. [10] Varsity Brands, Inc. v. Star Athletica, LLC., Brief of Amici Curiae Formlabs Inc., Matter and Form Inc., and Shapeways Inc. in Support of Petitioner, 2016WL537499. [11] 17 U.S. Code § 410 (c) In any judicial proceedings the certificate of a registration made before or within five years after first publication of the work shall constitute prima facie evidence of the validity of the copyright and of the facts stated in the certificate. The evidentiary weight to be accorded the certificate of a registration made thereafter shall be within the discretion of the court. [12] 17 U.S. Code § 412. [13] 17 U.S. Code § 504. [14] 17 U.S. Code § 505.
醫療與健康資料創新應用法制研析醫療與健康資料創新應用法制研析 資訊工業策進會科技法律研究所 2022年06月25日 壹、事件摘要 配合未來智慧醫療與精準健康之發展，民眾的健康、醫療資料將成為相關創新技術之基礎，且需整合許多異質資料庫（包括：生物資料、病歷、環境資料、基因資料等）作為相關研究與診斷基礎。然而，在創新實驗階段，個人資料保護向來是最核心之議題，如何在「創新技術」與「資料保護」間需取得衡平，於保護民眾個資權利的同時，又能滿足規範緩解或彈性化之明顯需求，便成為亟待解決的問題。 近年來，我國積極透過「法規沙盒」（Regulatory Sandbox）制度，來創造一個兼顧技術創新與有效監理的機制，例如《金融科技發展與創新實驗條例》與《無人載具科技創新實驗條例》皆是設立法規沙盒制度，在確保法律監管的前提下，依個案情形適度地鬆綁法規，為業者打造出恰當的實驗空間，以鼓勵創新發展。然而，我國於金融與交通領域訂立沙盒制度之時，關於個資法是否能被豁免，一度成為討論重點，最後二條例皆明文規定實驗進行以遵守個資法為原則，因此法規沙盒制度宜否用以緩解醫療與健康資料相關法律限制，仍堪研探；此外，醫療法規沙盒所涉及的醫療或健康資料主要落入敏感性資料之範疇，在個資法監管密度更高的情形下，更加限制了智慧醫療與精準健康產品或服務之發展，則如何突破此等醫療領域創新困境，即屬我國未來應密切關注之焦點。 職是之故，本文將研探國際上涉及醫療健康資料之機制，以作為我國法規沙盒等制度措施抑或設計其他方式運作之借鏡，讓創新者能獲有個資法等法規之規範彈性空間以進行創新活動。 貳、重點說明 以下對於英國、日本及新加坡等國制度，觀測分析其如何緩解資料法規而創造出彈性化空間，使創新者有機會藉此活用醫療健康資料，進行醫療領域之創新發展。 一、英國 （一）ICO法規沙盒 英國資訊專員辦公室（Information Commissioner's Office, ICO）於2019年推出法規沙盒計畫，希望可向利用個人資料開發具有明顯公共利益的創新產品和服務的組織，提供必要的試驗空間。在進入沙盒之前，ICO將會要求申請者簽署相關條款，並有專屬ICO沙盒成員與之聯繫，安排會議協助制訂沙盒計畫，同時也會要求申請者進行資料保護自我評估清單，以利沙盒計畫之制定[1]。 此沙盒的特色之一，在於不會完全排除資料保護規範之適用，而是著重於如何協助業者遵法，參與者能透過此計畫借助ICO在資料保護方面的專業知識和建議，從而在測試創新服務時減輕風險，並確保適當的個資保護措施臻於完備[2]。此外，參與者也將會收到一份暫緩執法聲明（statement of comfort from enforcement），亦即在參與沙盒期間，若產品或服務因疏忽而有違反資料保護相關法規之情形，只要違規行為未超出原先進入沙盒所預想的情況，便不會立即導致ICO的監管行動，暫緩程度則取決於創新團隊與ICO保持協作與對話之狀況[3]。 截至2021年2月，其尚有9個測試案例正在進行中，而與健康、醫療資料有關者為CDD服務有限公司（CDD Services）及諾華製藥的語音解決方案（Novartis Voice Enabled Solutions project）[4]。 （二）動態同意機制 「動態同意」（Dynamic Consent）是指一種基於網路與資通訊技術的即時同意程序，透過利用資通訊技術建立的動態同意網路平台，研究者得即時通知資料當事人其研究進度、研究目的變更等事項，資料當事人則得隨時修改同意範圍或撤銷同意[5]。 動態同意機制的優點，對研究者而言，在於節省許多徵詢同意所需之成本，也能清楚瞭解資料庫中的資料附加了哪種類型的同意或是資料當事人要求徵詢同意的密度[6]，並且可以更加容易地整合其他多媒體技術（例如播放影片、照片與錄音）進行研究內容與風險之說明。而對於資料當事人而言，動態同意則可解決同意成本過高而不得不實施過於寬泛的概括同意之情形，從而更加保障資料主體之資料自主權[7]。 在英國，動態同意之原型係於2008年左右ENCoRe計畫提出；國際間較為有名的計畫皆實施於英國，例如曼徹斯特大學inBank團隊開發的蒐集與處理電子健康紀錄系統、牛津大學主導的參與式Rudy研究等[8]。 二、日本 日本於2018年實施「專案型沙盒」制度，建立特定不受現有法規限制之情境，使業者得於限定期間及場域內，以「新興技術」進行實證[9]。所謂「新興技術」，係指在創新事業活動中所使用具有顯著新穎性之技術或方法，且該技術或手法可創造出高附加價值者[10]，而「具顯著新穎性」者，則指相較於該領域的常用技術和方法，更有新穎性且得以衍生實用化和事業化討論的技術與方法，例如AI、IoT、巨量資料、區塊鏈等[11]。 專案型沙盒中，有3件與醫療相關的案例，其中涉及個資法規範的是「以生物辨識技術了解本人意思（Digital Living Will）」一案。本案情境為考量到獨居老人數量增加，其因急救被送往醫療機關時，尚需時間確認其身分，甚至須向家屬說明治療方式且獲同意後，始得開始檢查和治療，而常有遲延急救時間之情事，故醫院及醫療業者共同申請一項專案型沙盒實證計畫，藉由「預立同意」之方式保存個人手術及檢查等意願，待患者發生急救情形時，將依指紋、手指靜脈、人臉等生物辨識技術準確且迅速地確認身分，向醫院提供患者的個人意願資料。本計畫採取的新技術，涉及日本個資法第18條、第19條及第23條規定，申請者表示將依法辦理之，例如告知參加者「獲取生物辨識資料之利用目的」、經參加者同意後始向第三方提供生物辨識資料等，並由厚生勞動省和個人情報保護委員會等主管機關進行監督[12]。 三、新加坡 新加坡於2012年10月通過《個人資料保護法》（Personal Data Protection Act 2012, PDPA）[13]，同時依法設置個資保護委員會（Personal Data Protection Commission, PDPC）。該法旨在規範「非公務機關」之個人或組織對於個人資料的蒐集、利用及揭露（例如與第三方共享）等相關行為。該法第62條設計了豁免權（Exemption），個人或組織可於備妥申請文件後，向個資保護委員會預先申請尋求《個人資料保護法》任何條文之豁免；經審查批准後，個資保護委員會可以透過命令（order），在特定的規則或情況下，豁免任何個人或組織遵守本法的全部或部分規定[14]。 再者，新加坡提出「資料協作計畫」，以促進組織、政府、個人三方間資料無障礙流通，創造更多合作機會進行創新應用。該計畫可分作兩部分，首先建立「可信賴資料共享框架」（Trusted Data Sharing Framework），為企業對企業的資料交換方法步驟提供指南；其次提出「資料共享安排」（Data Sharing Arrangements）的資料法規沙盒計畫[15]，排除企業以創新模式近用個人資料時發生的阻礙，「資料共享安排」係依據上述個人資料保護法第62條所賦予的豁免權，讓個人或組織可在個人資料保護委員會訂定的規則下，依照個案給予組織免除個資法部分規範（例如：不須取得當事人同意、免除跨境傳輸之限制）。故總體而言，「資料協作計畫」下的「可信賴資料共享框架」與「資料共享安排」，將由政府擔任監管角色，申請者只要符合指南建議方向，例如遵循法律、達到一定資料技術應用品質、實施資安與個資保護措施等，便可進行個人與商業資料之共享。 以「中風患者於資料共享安排（資料法規沙盒計畫）之運作」為例，醫院、志願福利組織（Voluntary Welfare Organization, VWO）[16]與行政機關之資料共享計畫，彼此之間分享病患個人資料，毋須再經患者之同意，由資料中介機構進行資料分析，以改善服務並確保有效媒合老年中風患者之援助。經分析後，志願福利組織可主動與醫院患者接觸以利其提供收入援助或社會支持，行政機關則可利用相關資訊改善政策[17]。 參、事件評析 隨著新興科技崛起，資料驅動之技術創新需求於近年大幅顯現，若個資法規範始終缺乏彈性，又無相關機制確保創新空間，我國社會經濟發展將嚴重受影響。對此，面對「創新技術」與「資料保護」間如何取得衡平的難題，各國政府透過不同規範及政策手段，給予個資法規範一定彈性，以促進國內創新與轉型的腳步，可見個資法既定規範並非絕對，重點仍在於如何做好個資保護評估及風險管控，使資料主體於創新實驗下仍可受到隱私保護。 綜觀上開國家的資料法規彈性化措施，主要以兩大方式進行，其一為「針對法規提出整體鬆綁或彈性化機制」（法規面），例如英國ICO法規沙盒、日本專案型沙盒、新加坡資料共享安排機制皆屬之，雖各國立法模式或依據有所不同，但主要仍是利用法規沙盒或性質相近之措施，於運作上賦予個資法規一定彈性。其二則為「利用技術解消資料利用障礙」（技術面），例如動態同意機制，透過科技來擴大個資法規的適法及遵法態樣。 據此，我國在研議「醫療領域宜否應用法規沙盒等制度，緩解個資法等相關法規現行規範」時，或可先肯認個資法確有（有條件地）豁免適用之餘地，且得以法規沙盒作為個資法限制之彈性機制。其次，在立法模式的選擇上，由於我國已著手立法《智慧醫療創新實驗條例》（草案）[18]或考量規劃泛用型法規沙盒，未來或可於「醫療法規沙盒」或「泛用型法規沙盒」立法過程中，研議是否豁免創新實驗有關個資法令之適用。再者，針對個資法豁免條件，有鑑於沙盒實驗期間不能忽視個人利益之隱私保障措施，故應有一套完善機制協助法規沙盒之監管，相關豁免事項及條件設計，也須考量創新、公共利益與資料當事人權利侵害之比例原則。最後，在實作方面，機關亦可協助與輔導業者引進動態同意等措施及其新技術，以利業者遵法。 [1] ICO, What will happen if our application to the Sandbox is successful?, https://ico.org.uk/for-organisations/the-guide-to-the-sandbox/what-will-happen-if-our-application-to-the-sandbox-is-successful/ (last visited Feb. 6, 2021). [2] ICO selects first participants for data protection Sandbox, https://www.computerweekly.com/news/252467504/ICO-selects-first-innovation-Sandbox-participants (last visited Feb. 6, 2021) [3] ICO, What will happen if our application to the Sandbox is successful?, https://ico.org.uk/for-organisations/the-guide-to-the-sandbox/what-will-happen-if-our-application-to-the-sandbox-is-successful/ (last visited Feb. 6, 2021). [4] ICO, Current Projects, https://ico.org.uk/for-organisations/regulatory-sandbox/current-projects (last visited Feb. 6, 2021). [5] Jane Kaye, Edgar A Whitley, David Lund, Michael Morrison, Harriet Teare & Karen Melham, Dynamic consent: a patient interface for twenty-first century research networks, European Journal of Human Genetics, 23, 141–146 (2015) [6] 動態同意平台上的研究者介面，可能顯示資料當事人對於哪種類型的研究給予何種同意（例如對於心臟病研究給予概括同意；對於癌症研究給予特定同意），允許概括同意的時候也可以註記同意期限，或設定其他限制。 [7] Rasmus Bjerregaard Mikkelsen, Mickey Gjerris, Gunhild Waldemar & Peter Sandøe, Broad consent for biobanks is best - provided it is also deep, BMC Med Ethics, 20(1),71 (2019) [8] 義大利、美國、日本與澳洲等國目前皆有實施動態同意之機制，但都是以特定疾病或研究主題為主，尚未有全國通用的動態同意系統。義大利有名為「CHRIS」的慢性病研究動態同意平台；美國有非營利組織架設名為「PEER」的基因研究動態同意平台；日本有名為「Rudy Japan」的動態同意平台；澳洲有名為「CTRL」的動態同意平台。 [9] 生産性向上特別措置法第2條第2項。 [10] 同前註。 [11] 新技術等実証の総合的かつ効果的な推進を図るための基本的な方針，頁1（2018），https://www.kantei.go.jp/jp/singi/keizaisaisei/pdf/underlyinglaw/basicpolicy.pdf（最後瀏覽日：2021/2/10）。 [12] 〈生体認証を用いた本人意思に基づく救急医療の実証〉，首相官邸，https://www.kantei.go.jp/jp/singi/keizaisaisei/project/gaiyou7.pdf （最後瀏覽日：2021/2/19）。 [13] Personal Data Protection Act 2012, No. 26 of 2012. [14] Personal Data Protection Act 2012, Section 62. [15] Data Collaboratives Programme, https://www.imda.gov.sg/programme-listing/data-collaborative-programme (last revised Jun. 8, 2021) [16] 獨立於政府與市場運作之外的團體或組織。 [17] PDPC, Guide to Data Sharing (2018), https://www.pdpc.gov.sg/-/media/Files/PDPC/PDF-Files/Other-Guides/Guide-to-Data-Sharing-revised-26-Feb-2018.pdf (last revised Jun. 8, 2021). [18] 鄭鴻達，〈政院BTC閉幕 吳政忠：推智慧醫療沙盒、生醫條例修法〉，聯合新聞網，2021/09/01，https://udn.com/news/story/7238/5715580（最後瀏覽日：2022/06/13）。